AWS多租户场景下如何让SQS仅返回指定租户的消息

针对你的多租户场景，无需为每个租户单独创建SQS队列，以下几个AWS原生方案可解决隔离问题，按推荐优先级排序：

1. IAM权限控制 + SQS消息属性（最优方案） #

利用AWS IAM的细粒度权限，结合SQS自定义消息属性，从权限层面确保每个租户的轮询器仅能获取自身结果：

• 添加租户消息属性：后台处理生成结果时，给SQS消息添加自定义属性TenantId，值为对应租户的唯一标识。
• 配置IAM权限策略：给租户轮询器关联的IAM实体（角色/用户）添加带条件的权限策略，仅允许接收TenantId匹配的消息：

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "sqs:ReceiveMessage",
          "sqs:DeleteMessage",
          "sqs:ChangeMessageVisibility"
        ],
        "Resource": "arn:aws:sqs:你的区域:账号ID:你的队列名称",
        "Condition": {
          "StringEquals": {
            "sqs:MessageAttribute/TenantId": "${aws:PrincipalTag/TenantId}"
          }
        }
      }
    ]
  }
  

• 标记IAM实体：给轮询器使用的IAM角色/用户打上TenantId标签，值为对应租户ID。

当轮询器调用ReceiveMessage时，AWS会自动过滤不符合TenantId条件的消息，仅返回该租户的结果，无需客户端额外过滤，且是安全层面的隔离，无跨租户泄露风险。

2. SQS消息属性 + 客户端侧过滤 #

若暂时无法调整IAM权限，可在客户端实现过滤逻辑：

• 给每条消息添加TenantId自定义属性。
• 轮询器调用ReceiveMessage时，指定MessageAttributeNames为["TenantId"]，拉取消息后先校验TenantId是否匹配：
  • 匹配的消息正常处理，完成后调用DeleteMessage删除。
  • 不匹配的消息调用ChangeMessageVisibility将可见性超时设为0，让消息立刻回到队列，供对应租户的轮询器获取。

该方案实现简单，但轮询器会拉取到非自身租户的消息，存在少量额外网络开销，适合租户数量较少的场景。

3. Amazon EventBridge Pipes + 单SQS队列（进阶方案） #

利用EventBridge Pipes作为消息路由中间层，实现逻辑上的租户隔离：

• 后台生成结果时，给消息添加TenantId属性并发送至主SQS队列。
• 创建EventBridge Pipe，配置过滤规则：按TenantId对消息进行分组，将不同租户的消息转发至同一队列的逻辑分区（或直接对接轮询器的专属接收逻辑）。

该方案适合需要额外消息处理逻辑（如格式转换、重试控制）的场景，可在路由层完成租户隔离，减少轮询端的处理压力。

内容的提问来源于stack exchange，提问作者No Name